基于环境的漏洞挖掘模糊测试技术研究.pdf

硕士学位论文锄中国科学技术大学基于环境的漏洞挖掘模糊测试技术研究栅平啤椭授缴撤明沪殆副泅/埽作者姓名:学科专业:导师姓名:完成时间:张美超二一一一计曾’\匕::.,●■作者签名:瓷』迭签字日期...讼鳎郝簧尉,从开中国科学技术大学学位论文授权使用声明中国科学技术大学学位论文原创性声明口保密!D本人声明所呈交的学位论文,是本人在导师指导下进行研究工作所取得的成果。除己特别加以标注和致谢的地方外,论文中不包含任何他人已经发表或撰写过的研究成果。与我一同工作的同志对本研究所做的贡献均己在论文中作了明确的说明。作者签名:签字日期:作为申请学位的条件之一,学位论文著作权拥有者授权中国科学技术大学拥有学位论文的部分使用权,即:学校有权按有关规定向国家有关部门或机构送交论文的复印件和电子版,允许论文被查阅和借阅,可以将学位论文编入有关数据库进行检索,可以采用影印、缩印或扫描等复制手段保存、汇编学位论文。本人提交的电子文档的内容和纸质论文的内容相一致。保密的学位论文在解密后也遵守此规定。导师签名:摘要我们对教ㄏ碌亩嗫钋窈蛃衿魅砑辛税踩圆馐裕关键词:漏洞发掘,模糊测试,漏洞库,环境,邱,模糊测试是一种自动或半自动的发现软件故障的方法,具有可用性好、自动化程度高、误报率低、对目标程序源码没有依赖的优点。模糊测试如今已经成为漏洞挖掘的嗟庇行У募际酢本文首先验证了当前的模糊测试技术乇鹗悄:鞴乖旒际在漏洞挖掘方面的有效性。通过整理权威漏洞数据库中关于服务器的所有漏洞,我们分析了当前的模糊技术对漏洞库中的已有漏洞的重现率或挖掘成功率。实验结果肯定了简单易行的模糊测试技术在漏洞挖掘方面的有效性,同时我们也发现了传统的模糊测试技术的一些盲点,针对其工作量大、针对性差的缺点,本文的主要工作集中在以下两个方面:提出基于漏洞库的模糊测试技术。用这种技术得到的测试用例集直接与漏洞相关。漏洞是程序员犯过的错误的真实体现,因此这种方法更有针对性;基于漏洞库生成的测试用例集除了可以重现曾经出现过的漏洞,还可以挖掘未知的但同属一类的漏洞,覆盖面更大、随机性更好:这种技术不需要事先对输入规格做过多研究,不做过多假设,因此在提高测试用例针对性的同时保证了其随机性。提出基于环境的模糊测试技术。针对基于漏洞库的模糊测试技术得到的测试用例集的可重用性和扩展性不高、并且没有揭示出漏洞产生的本质原因的两个问题,我们在第绿岢隽嘶环境的模糊测试技术。通过提取程序开发和运行所依赖的环境,针对其对每种环境的依赖,我们构造包含了环境特征的模糊测试用例集,这样得到的测试用例集合在保证挖掘能力的同时具有更高的可重用性和扩展性。发现了钊砑个新漏洞。实验结果证明了该方法的有效性。摘要鷐肌馻籱甒;甒—,瓻:.;,瓸琲瑆甌瓻.,.瑆,;.鷑,簐瑅,琭,